Linux-Host mit realmd und SSSD in Active Directory einbinden

Ziel

Einen Linux-Host in eine Active-Directory-Domäne einbinden, sodass AD-Konten lokal authentifiziert und aufgelöst werden können. realmd steuert dabei SSSD, anstatt dass sssd.conf von Hand zusammengestellt wird.

Voraussetzungen

Installiert sein müssen realmd, sssd und die AD-/Kerberos-Unterstützungspakete (je nach Distribution realmd, sssd-ad/sssd-common, adcli, krb5-workstation/krb5-user). Die DNS-Auflösung der AD-Domäne (SRV-Records) muss korrekt funktionieren, und die Uhrzeit muss mit den Domänencontrollern synchronisiert sein: Die Kerberos-Authentifizierung schlägt fehl, sobald die Zeitabweichung eine geringe Toleranz überschreitet. SSSD ist laut eigener Projektdokumentation der Client-Daemon, der Identitäts- und Authentifizierungsdaten von Verzeichnisdiensten, darunter Active Directory, zwischenspeichert.

Schritte

1. Vor dem Beitritt per DNS prüfen, ob die Domäne auffindbar ist: realm discover example.com. Listet die Ausgabe die Domäne, ihren Typ (kerberos, active-directory) und die benötigten Pakete auf, sind SRV-Records und grundlegende Erreichbarkeit bestätigt. Schlägt der Befehl fehl, muss zuerst DNS korrigiert werden, nicht SSSD.
2. Der Domäne beitreten: realm join -U administrator example.com. Dieser Befehl legt das Computerkonto in AD an, schreibt die Keytab und erzeugt den zugehörigen Domänenabschnitt in sssd.conf. realmd verwaltet diese Datei; die von realmd verwalteten Abschnitte sollten daher nicht von Hand bearbeitet werden.
3. Anmeldungen sofort einschränken, statt die Domäne vollständig offen zu lassen: realm permit user@example.com für ein einzelnes Konto oder realm permit -g "Domain Admins@example.com" für eine Gruppe. Soll standardmässig niemand zugelassen sein, bis ausdrücklich eine Freigabe erfolgt, zuvor realm deny --all ausführen.
4. Prüfen, ob ein bestimmtes AD-Konto aufgelöst wird: id user@example.com. Ein UID/GID-Paar und die Gruppenmitgliedschaften zeigen, dass SSSD die Identität korrekt auflöst. Schlägt dieser Schritt trotz erfolgreichem realm discover fehl, liegt die Ursache beim SSSD-Dienst selbst.
5. Den von SSSD selbst gemeldeten Zustand prüfen: sssctl domain-list und sssctl domain-status example.com fassen zusammen, ob die Domäne online ist und welche Provider aktiv sind. id_provider/access_provider in der generierten sssd.conf zeigen, welche Backends tatsächlich konfiguriert sind.
6. Bei einem Anmeldefehler, den id nicht erklärt, in sssd.conf den Debug-Level erhöhen (debug_level = 9 im betreffenden Abschnitt, danach systemctl restart sssd), den Fehler reproduzieren und die Logs mit sssctl logs-fetch /tmp/sssd-logs.tar einsammeln (der Archivpfad ist zwingend anzugeben). Level 9 ist sehr ausführlich und protokolliert sensible Details; er ist danach wieder zurückzusetzen.

Erwartetes Ergebnis

id user@example.com liefert ein aufgelöstes UID/GID-Paar; nur ausdrücklich zugelassene Konten oder Gruppen können sich authentifizieren.

Grenzen und Prüfbasis

Geprüft anhand von realm(8) (discover, join, permit), sssd.conf(5) (id_provider, access_provider) und sssctl(8). Rückgängig machen: realm leave example.com entfernt die lokale Domänenkonfiguration und beendet die Authentifizierung von SSSD gegen diese Domäne. Das AD-Computerkonto bleibt bestehen, sofern nicht realm leave --remove -U administrator example.com verwendet wird oder ein Domänenadministrator es löscht.